Progress Telerik UI for ASP.NET AJAX RadAsyncUpload 역직렬화 원격 코드 실행(RCE) 취약점 (CVE-2019-18935) 분석 및 대응 가이드
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTProgress Telerik UI for ASP.NET AJAX 2019.3.1023 이하 버전 (특정 조건 충족 시 2020.1.114 미만 버전 포함)
공격자가 암호화 키를 획득하거나 유추할 수 있는 경우, RadAsyncUpload 기능을 통해 악성 .NET 객체를 역직렬화하여 대상 웹 서버에서 권한 없는 원격 코드 실행(RCE)을 수행할 수 있습니다.
Telerik UI를 최신 안전한 버전(2020.1.114 이상)으로 업그레이드하고, 즉시 web.config 설정을 수정하여 RadAsyncUpload의 비활성화 또는 암호화 키 재설정을 적용해야 합니다.
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
Telerik UI for ASP.NET AJAX를 최신 보안 패치가 적용된 버전(2020.1.114 이상)으로 업그레이드하십시오. NuGet 패키지 관리자를 사용하는 경우 아래 명령어를 통해 업데이트를 수행할 수 있습니다.
# NuGet 패키지 관리자 콘솔에서 Telerik UI 패키지 업데이트 수행
Update-Package Telerik.UI.for.AspNet.Ajax -Version 2020.1.1142. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 패치가 어려운 경우, web.config 파일을 수정하여 RadAsyncUpload 기능을 비활성화하거나 암호화 키를 강력한 임의의 값으로 변경하여 공격을 차단해야 합니다.
<!-- web.config 설정 예시: 암호화 키 임의 변경 및 보안 강화 -->
<configuration>
<appSettings>
<!-- 기본 키를 사용하지 않도록 매우 복잡한 고유 키로 재설정 -->
<add key='Telerik.Web.UI.DialogParametersEncryptionKey' value='StrongRandomKey_32BytesOrMore_ChangeThis!' />
<add key='Telerik.Upload.ConfigurationEncryptionKey' value='StrongRandomKey_ForUpload_ChangeThis!' />
<!-- 필요하지 않은 경우 RadAsyncUpload 비활성화 설정 검토 -->
<add key='Telerik.AsyncUpload.DisableAsyncUpload' value='true' />
</appSettings>
</configuration>3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
IIS 웹 서버 로그에서 Telerik.Web.UI.WebResource.axd 경로로 유입되는 비정상적인 POST 요청 및 rauPostData 매개변수 분석을 수행하는 PowerShell 스크립트입니다.
# IIS 로그 디렉터리에서 Telerik 관련 의심스러운 요청 검색
$LogPath = 'C:\inetpub\logs\LogFiles\W3SVC1\*'
Get-ChildItem -Path $LogPath -Filter *.log |
Select-String -Pattern 'Telerik.Web.UI.WebResource.axd' |
Where-Object { $_ -match 'POST' } |
Select-Object -First 50 |
Format-Table Line코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2019-18935)은 Progress Telerik UI for ASP.NET AJAX의 RadAsyncUpload 컴포넌트에서 발생하는 .NET 역직렬화(Deserialization) 취약점입니다. RadAsyncUpload 모듈은 파일 업로드 프로세스 중 메타데이터 및 구성 정보를 직렬화된 형태로 클라이언트와 주고받습니다. 이 과정에서 입력 데이터에 대한 적절한 검증 없이 역직렬화를 수행하는 CWE-502 결함이 존재합니다. 특히, 이전 취약점(CVE-2017-11317 또는 CVE-2017-11357)을 통해 하드코딩되거나 유출된 암호화 키(Telerik.Web.UI.DialogParametersEncryptionKey 등)를 공격자가 알고 있는 경우, 임의의 악성 페이로드를 암호화하여 서버로 전송함으로써 역직렬화를 유도할 수 있습니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 먼저 대상 시스템의 Telerik UI 암호화 키를 획득하거나 기본값(Default Key)을 타깃으로 설정합니다. 이후 RadAsyncUpload 핸들러(Telerik.Web.UI.WebResource.axd)에 특수하게 조작된 POST 요청을 전송합니다. 이 요청에는 .NET의 JavaScriptSerializer 또는 유사한 직렬화 바인더를 트리거하는 악성 JSON 페이로드가 포함됩니다. 공격자는 혼합된 타입(Type) 정보를 페이로드에 주입하여, 서버가 데이터를 역직렬화하는 과정에서 시스템 명령을 실행하는 가젯 체인(예: System.Configuration.Install.AssemblyInstaller 등)을 호출하도록 만듭니다. 결과적으로 공격자는 웹 애플리케이션 프로세스(w3wp.exe)의 권한으로 임의의 DLL을 로드하거나 OS 명령을 실행하게 됩니다.
3. 비즈니스 및 인프라 파급 영향
본 취약점은 CVSS 9.8의 치명적(Critical) 등급이며, CISA KEV(알려진 악용된 취약점 카탈로그)에 등재되어 실제 야생(In-the-wild)에서 랜섬웨어 유포 및 APT 공격 그룹에 의해 활발히 악용되고 있습니다. 공격자가 웹 서버의 제어권을 완전히 획득할 경우, 내부망(DMZ) 침투를 위한 교두보로 활용될 수 있으며, 데이터베이스 연결 문자열 탈취를 통한 기밀 데이터 유출, 웹페이지 변조, 랜섬웨어 감염 등 기업 비즈니스 연속성에 치명적인 피해를 초래할 수 있습니다.
공식 보안 권고문 및 참조 링크
Progress Telerik UI for ASP.NET AJAX through 2019.3.1023 contains a .NET deserialization vulnerability in the RadAsyncUpload function. This is exploitable when the encryption keys are known due to the presence of CVE-2017-11317 or CVE-2017-11357, or other means. Exploitation can result in remote code execution. (As of 2020.1.114, a default setting prevents the exploit. In 2019.3.1023, but not earlier versions, a non-default setting can prevent exploitation.)
자주 묻는 실무 질문 (FAQ — CVE-2019-18935)
FAQQ1. CVE-2019-18935 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2019-18935의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 99.7%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2019-18935에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 progress, telerik이며, 대상 컴포넌트는 telerik_ui_for_asp.net_ajax입니다. 상세 영향 범위: Progress Telerik UI for ASP.NET AJAX 2019.3.1023 및 이전 버전 전체 (2020.1.114 미만 버전에서 기본 설정 상태에 따라 영향 가능)
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] Telerik UI를 최신 안전한 버전(2020.1.114 이상)으로 업그레이드하고, 즉시 web.config 설정을 수정하여 RadAsyncUpload의 비활성화 또는 암호화 키 재설정을 적용해야 합니다. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2019-18935 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (progress)
동일 카테고리 전체 보기 →Progress Kemp LoadMaster API OS 명령 주입 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-8037)
[영향 대상] Progress Kemp LoadMaster 로드 밸런서 장비의 API 관리 인터페이스
JetBrains TeamCity 에이전트 폴링 프로토콜 미인증 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-63077)
[영향 대상] JetBrains TeamCity 2026.1.3 미만 및 2025.11.7 미만 버전
Microsoft SharePoint Server 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-58644, CWE-502)
[영향 대상] Microsoft SharePoint Server 환경
Microsoft SharePoint 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-50522, CWE-502)
[영향 대상] Microsoft SharePoint Server 제품군
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.